Pelnas:
- Galimybė normalizuoti kelis laiko žymos šaltinius į vieną nuorodą (UTC) ir dirbtinio intelekto pagalba pažymėti anomalijas bei spragas super laiko juostoje
- Gebėjimas atskirti koreliaciją nuo priežastingumo ir patikrinti dirbtinio intelekto sukurtą pasakojimą, kiekvieną įvykį susiejant su jo šaltiniu
- Gebėjimas atpažinti riziką, pvz., laiko fiksavimą, laikrodžio poslinkį ir žurnalų spragas, ir patvirtinti jas iš kelių šaltinių
Yra tik vienas dalykas, nurodantis, kada, kaip ir kokia tvarka iš tikrųjų įvyksta kibernetinis įvykis: laikas. Kai užpuolikas įėjo į sistemą, kurį failą jis palietė ir kada, kada išfiltravo duomenis – visa tai saugoma skirtinguose žurnaluose (įrašų failuose, kuriuose sistema įrašo įvykius) ir skirtingose laiko žymose (laiko žyma – įvykio datos ir laiko įrašas). Laiko juostos analizė suskirsto šias išsklaidytas laiko žymes į vieną chronologinį pasakojimą ir klausia „kas atsitiko? Tai atsakymo į klausimą menas. Šiame skyriuje pamatysime, kaip dirbtinis intelektas užtikrina didelį greitį tvarkant šiuos netvarkingus duomenis ir kur jie gali jus suklaidinti.
Laiko žymų daugybė ir spąstų
Net vienas failas turi kelias laiko žymas. Pavyzdžiui, failų sistema turi MACB antspaudus: Modified, Accessed, Changed, Born. Be to, yra operacinės sistemos įvykių žurnalai (Windows Event Log), žiniatinklio serverio žurnalai, ugniasienės žurnalai, programų žurnalai ir registro (Windows registras – hierarchinė duomenų bazė, kurioje saugomi sistemos ir programos nustatymai) įrašai.
Didžiausia spąsta yra laiko juosta ir laiko dreifas. Viename žurnale įrašomas UTC (koordinuotas visuotinis laikas), kitame – vietinis laikas; sistemos laikrodis gali būti nustatytas neteisingai; Užpuolikas galėjo tyčia manipuliuoti laiko žymomis (timestomping – failo laiko žymų klastojimas). Taigi prieš nustatant laiko juostą reikia nustatyti kiekvieno šaltinio laiko juostą ir laikrodžio tikslumą, visa tai normalizuoti pagal bendrą atskaitą (dažniausiai UTC).
Atsargiai: Klasikinė klaida yra padėti du rąstus greta skirtingais laikotarpiais ir pasakyti „tai atsitiko tuo pačiu metu“. Prieš koreliuodami konvertuokite visas laiko žymas į vieną nuorodą; Priešingu atveju AI (ir jūsų) nustatytas priežasties-pasekmės ryšys nuo pat pradžių yra supuvęs.
Super laiko juosta ir AI
Kompiuterinėje kriminalistikoje struktūra, jungianti visus šiuos šaltinius, vadinama super laiko juosta; Jis dažnai generuojamas naudojant tokius įrankius kaip Plaso/log2timeline ir gali būti dešimtys tūkstančių ar net milijonų eilučių. Čia atsiranda AI: pažymėti reikšmingus modelius ir anomalijas šioje didžiulėje diagramoje.
Saugus AI indėlis:
- Anomalijų žymėjimas: prieiga ne darbo valandomis, staigus privilegijų padidinimas, neįprasta proceso grandinė, keli nepavykę prisijungimai per trumpą intervalą.
- Įvykių grupavimas: grupuokite įvykius, kurie sutelkti tame pačiame laiko lange, ir pažymėkite juos kaip „čia kažkas nutiko“.
- Pasakojimo metmenys: patikrintų įvykių vertimas į paprastą kalbą chronologinę istoriją (pirmasis ataskaitos juodraštis).
- Spragų aptikimas: "Per šį 40 minučių intervalą nėra žurnalų – ar jie galėjo būti ištrinti?" Klausimas apie trūkumus, pvz.
Kiekviename iš jų AI generuoja hipotezes; Jūs įrodote priežastinį ryšį ir įrodomąją vertę.
Patarimas: suteikdami AI laiko juostą, pirmiausia aiškiai nurodykite laiko juostą ir formatą: „Visos laiko žymos yra UTC, ISO 8601 formatu“. Pirmiausia normalizuokite mišrius formatus; Leisti AI atspėti formatą yra kvietimas suklysti.
Koreliacija nėra priežastinis ryšys
Pavojingiausia loginė laiko analizės klaida yra manyti, kad paveldėjimas yra priežastis ir pasekmė. „USB buvo įdėtas 22:10, failas nukopijuotas 22:12“ gali įvykti du įvykiai iš eilės, tačiau jie neįrodo, kad tas pats asmuo tai padarė tuo pačiu tikslu; Gali būti ir kitas paaiškinimas. Nors AI kuria sklandų pasakojimą, jis nemato šios spragos ir gali pateikti tikslų sakinį, pvz., „Duomenys buvo pavogti per USB“. Eksperto darbas yra pašalinti alternatyvius paaiškinimus ir kiekvieną žingsnį paremti nepriklausomais įrodymais.
trys mini dėklai
1 atvejis – užfiksuotas laikrodžio poslinkis. Vienu atveju žiniatinklio serverio žurnalas ir ugniasienės žurnalas atrodė skirtingai 3 valandas. Pirmajame juodraštyje AI laikė šias „dvi atskiras atakas“. Ekspertas nustatė, kad serverio laiko juosta nustatyta neteisingai; Normalizavus, du žurnalai telpa į vieną įvykį. 3 valandų „fantominis skirtumas“ dingo.
2 atvejis – tarpas atskleidė ištrynimą. 1,1 milijono eilučių super laiko juostoje AI pažymėjo, kad nuo 02:30 iki 03:10 nebuvo jokių įrašų. Ekspertas ištyrė: Šiame lange buvo sąmoningai išvalyti saugos žurnalai (rąsto valymas). Pati tuštuma tapo vienu stipriausių išpuolio įrodymų.
3 atvejis – haliucinacijos išgalvojo įvykį. Darydamas santrauką YZ pasakė: „Administratoriaus paskyra sukurta 03:45“. Ekspertas pažvelgė į šaltinį: tokio įvykio ID nebuvo – numeris „Windows“ žurnaluose, nurodantis įvykio tipą; AI sujungė dvi skirtingas linijas ir sukūrė įvykį, kurio nebuvo. Susiejimas su šaltiniu užkirto kelią klaidingam pasakojimui.
Keturi kopijuojami šablonai
1) Laiko normalizavimo planas:
Jūsų vaidmuo: teismo medicinos laiko juostos analitikas. Pateiksiu laiko žymas iš skirtingų šaltinių (formatai ir laikotarpiai gali skirtis). Pirmiausia nustatykite kiekvieno šaltinio formatą ir laiko juostą, tada sugalvokite juos visus konvertuoti į UTC / ISO 8601. Pažymėkite laiko juostą, dėl kurios nesate tikri, kaip „reikia patvirtinimo“.
2) Anomalijų žymėjimas:
Kontekstas: įmonės serveris, įprastos darbo valandos 08:00-18:00 (UTC+3). Pateiksiu normalizuotą įvykių sąrašą. Remdamiesi tik įrašais, kurie TIKRAI yra sąraše, pažymėkite šiuos dalykus: prieiga ne darbo valandomis, privilegijų eskalavimas, pakartotinai nepavykęs prisijungimas, neįprasta proceso grandinė. Kiekvienam ženklui cituokite atitinkamą eilutę. Interpretacijos/priežastinio ryšio pridėjimas; Aš tai įvertinsiu.
3) Pasakojimo metmenys (ataskaitai):
Toliau pateikiami įvykiai, kuriuos PATIKRINAU (kiekvienas su šaltiniu). Paverskite juos paprastu, chronologiniu pasakojimu. Naudokite tik mano duotus įvykius; pridedant naują įvykį, prognozę ar priežastinį ryšį. Neaiškias sąsajas parašykite ta kalba, kuri apibūdina juos kaip „galimus“.
4) Spragų ir nenuoseklumo nuskaitymas:
Šioje normalizuotoje laiko juostoje: (1) pažymėkite žurnalo laikotarpius, kurių tikimasi, bet atrodo, kad jų trūksta, (2) įrašus, kurie yra netinkami (ateitis į praeitį), (3) šuolius, kurie atsiranda paketiniu / automatiškai. Rodyti kiekvieną su atitinkamais eilučių tarpais. Atkreipkite dėmesį, kad tai gali būti ištrynimo / manipuliavimo ŽENKLAI, bet nėra įrodymas.
Silpnas raginimas / Stiprus raginimas
Silpnas raginimas:
Apibendrinkite šiuos žurnalus ir paaiškinkite, kas atsitiko.
Nėra laiko, šaltinio ar „tik tikrojo įrašymo“ apribojimų; AI gali sukurti sklandžią, bet išgalvotą istoriją.
Galingas raginimas:
Jūsų vaidmuo: teismo medicinos žurnalų analitikas. Šaltinis: 3 žurnalai („Windows Security“, „Apache“ prieiga, ugniasienė), visi normalizuoti pagal UTC, ISO 8601. Užduotis: chronologiškai surašyti įvykius kovo 14 d. 21:00–23:00 remiantis tik nurodytomis eilutėmis; cituokite kiekvieną eilutę su šaltiniu ir įvykio ID / kodu. Koreliacijos nustatymas, priežastingumo teigimas; pakomentuosiu. Atskirai pažymėkite intervalus, kuriuos matote kaip trūkstamus arba neįprastus.
Šaltinis, normalizuota nuoroda, „tik nurodyta eilutė“ ir „nustatyti priežastinį ryšį“ suvaržymai daro išvestį patikimą.
Laiko žymų šaltinių lentelė
Šaltinis
Laiko žymos pavyzdys
Dėmesio
Failų sistema (MACB)
Keisti / pasiekti / kurti
Atvira laiko tempimui
„Windows“ įvykių žurnalas
Prisijungimo, proceso, aptarnavimo įvykiai
Patvirtinkite įvykio ID
žiniatinklio serverio žurnalas
prašyti laiko
laiko juostos patikrinimas
ugniasienė/tinklas
ryšys, atmetimas
Laikrodžio sinchronizavimas (NTP)
Registras
Paskutinis rašymo laikas
Komentuoti reikia specialių žinių
Programėlė/naršyklė
istorija, talpykla
gali būti vietos laiku
Dažnos klaidos
- Koreliacijos nustatymas nenormalizuojant laikotarpio. Skirtingos skiltys sukuria klaidingą „lygiagretumą“.
- Klaidinga koreliacija ir priežastinis ryšys. Vienas po kito einantys įvykiai nereiškia to paties kaltininko / tikslo.
- Visiškas pasitikėjimas laiko žyma. Galimas laiko trumpinimas ir neteisingas laikas; Patvirtinkite naudodami kelis šaltinius.
- Nepatvirtina įvykio, kad AI surinko. Dviejų linijų sąjunga gali sukelti neegzistuojantį įvykį.
- Nepaisydami spragų. Dingęs žurnalas dažnai yra svarbiausias įrodymas.
Apibendrinant
Laiko juostos analizė – tai išsklaidytų laiko žymų sujungimas į vieną patikrinamą chronologiją. AI suteikia didelį greitį anomalijų žymėjimui, klasterizavimui, spragų aptikimui ir pasakojimo piešimui milijono eilučių super laiko juostose. Tačiau laikotarpio normalizavimas, koreliacijos ir priežastinio ryšio atskyrimas ir kiekvieno įvykio priskyrimas šaltiniui priklauso žmonėms. AI generuoja hipotezes; Jūs esate tas, kuris ginate chronologiją teisme.
Taikymo užduotis
Paruoškite pavyzdinį įvykių sąrašą iš 15–20 eilučių skirtingu formatu ir laiko juosta (tyčia įtraukite laiko poslinkį ir tarpą). Pirmiausia konvertuokite juos į UTC naudodami šabloną „Laiko normalizavimo planas“. Tada pritaikykite šablonus „Anomaly marking“ ir „Gap scan“ ir patikrinkite AI užfiksuotą laikrodžio poslinkį ir spragą šaltinyje.
kontrolinis sąrašas
- [ ] Normalizavau visas laiko žymes į vieną nuorodą (UTC).
- [ ] Kiekvieną įvykį susiejau su jo šaltiniu (failu / įvykio ID / eilute).
- [ ] Išskyriau koreliaciją ir priežastinį ryšį; Svarsčiau alternatyvius paaiškinimus.
- [ ] Pažymėjau rąsto tarpus ir neįprastus įrašus.
- [ ] Patvirtinau įvykius, kuriuos AI konsolidavo / apibendrino pirminiame įraše.